C'est quoi une signature électronique, et quand le droit l'accepte-t-il ?

« C'est quoi une signature électronique ? » La question paraît simple, et la réponse du droit est plus large que ce que la plupart des gens imaginent. L'article 3, point 10, du règlement eIDAS la définit comme des données sous forme électronique, jointes ou associées logiquement à d'autres données électroniques, et que le signataire utilise pour signer. Rien de plus. Un nom tapé au clavier entre dans la définition, une case « J'accepte » cochée aussi, un trait tracé au doigt, un code reçu par SMS ou un certificat cryptographique également.

Le droit américain dit la même chose avec d'autres mots. L'ESIGN Act parle d'un son, d'un symbole ou d'un procédé électronique associé à un document et adopté avec l'intention de le signer (15 U.S.C. §7006(5)). Pour un contrat qui traverse l'Atlantique, vous n'avez donc pas à choisir entre deux définitions.

Deux idées se retrouvent dans les deux textes :

• La volonté de signer. Votre nom dans le champ « À » d'un e-mail n'est pas une signature. Le même nom sous « Bon pour accord » l'est très probablement.
• Le lien avec un document précis. La photo de votre écriture, envoyée seule, n'est rattachée à rien.

Voici ce que les pages des éditeurs sautent volontiers. La définition dit ce qui compte. Elle ne dit pas si votre signature résistera à un litige, et c'est une question de preuve, dont traite l'essentiel de cet article. Pour la formule « lu et approuvé » et les cas où l'encre reste de mise, voyez l'article sur la signature manuscrite.

Presque tout geste que vous faites à l'écran pour dire « je suis d'accord avec ce document » peut être une signature électronique. Les sept procédés du tableau entrent dans la définition d'eIDAS. Ce qui les sépare, c'est la quantité de preuve que chacun laisse derrière lui.

Un nom tapé est-il une signature électronique ? Oui, s'il a été tapé pour signer. Le point faible est l'attribution : n'importe qui ayant accès à votre messagerie a pu le saisir. En pratique, un devis accepté en ligne, un accord de confidentialité validé d'un clic ou un procès-verbal de livraison signé sur tablette ne posent pas de difficulté tant que la loi n'impose aucune forme, puisque les contrats sont par principe consensuels (art. 1172 du Code civil).

L'image scannée est le cas que l'on juge le plus mal. Coller la photo de votre écriture dans un PDF crée bien une signature au sens juridique, mais une signature pauvre : elle ne dit rien de celui qui l'a collée ni de la page quatre, modifiée ou non depuis.

Cela prend une minute : ouvrir le document dans un service de signature, taper ou tracer son nom, confirmer. Le geste est la partie facile. Quand vous signez et envoyez des documents avec Chaindoc, ce qui travaille ensuite, c'est le journal de preuve : qui a ouvert le document, qui a signé, et quand.

La loi décide si une signature est permise. La preuve décide si la vôtre l'emporte. Quand quelqu'un dit « je n'ai jamais signé cela », quatre questions se posent, à peu près dans cet ordre.

La volonté : la personne voulait-elle signer ?

Le signataire doit accomplir un geste qui se lit comme un accord : cocher « J'accepte les conditions ci-dessus », cliquer sur « Signer », taper son nom sous « Bon pour accord ». Le silence ne compte pas. Une case cochée d'avance par quelqu'un d'autre non plus. L'article 1367 du Code civil le dit à sa façon : la signature manifeste le consentement aux obligations qui découlent de l'acte.

L'accord sur le procédé : les deux parties l'ont-elles accepté ?

Entre professionnels, il se déduit souvent du comportement : on négocie par e-mail et on signe dans le même service. Mais personne n'est tenu d'accepter votre procédé s'il n'a pas été convenu, et les banques, les assureurs et les administrations imposent volontiers le leur. Une clause dans le contrat coûte moins cher qu'une discussion après coup.

Identification et intégrité : qui a signé, et est-ce le même document ?

L'identification relie la signature à une personne : adresse e-mail vérifiée, code à usage unique, contrôle d'identité, adresse IP et appareil. L'article 1366 pose d'ailleurs les deux conditions de l'écrit électronique : que la personne dont il émane puisse être dûment identifiée, et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité. Pour l'intégrité, une empreinte cryptographique fait le travail. Changez un seul octet et le résultat est tout autre. C'est de l'arithmétique, pas une promesse d'éditeur, et chacun peut la refaire.

La conservation : pouvez-vous encore produire le document ?

C'est le point que presque tout le monde oublie. Un contrat signé qui ne vit que dans le compte d'un prestataire que vous avez résilié depuis est un contrat fragile. Ce que vous pouvez poser sur la table du juge, complet et intact, pèse plus lourd que n'importe quel argument.

La volonté et l'accord se règlent, dans la pratique, par la conception du parcours de signature. L'identification et la conservation sont les endroits où se perdent les vrais litiges.

Le droit français n'invente pas de signature à part. Il part de la liberté de forme, puis pose, pour l'électronique, quelques conditions.

1. 1.
   L'écrit électronique (art. 1366) a la même force probante que l'écrit sur support papier, à condition que la personne dont il émane puisse être dûment identifiée et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité.
2. 2.
   La signature électronique (art. 1367) identifie son auteur et manifeste son consentement. Elle consiste en l'usage d'un procédé fiable d'identification garantissant son lien avec l'acte auquel elle s'attache.
3. 3.
   La présomption de fiabilité joue, jusqu'à preuve contraire, quand la signature est créée, l'identité du signataire assurée et l'intégrité de l'acte garantie dans les conditions fixées par décret. Le décret n° 2017-1416 réserve cette présomption aux procédés qui mettent en œuvre une signature électronique qualifiée.

Autrement dit, une signature simple reste valable. Si elle est contestée, c'est à celui qui s'en prévaut de démontrer la fiabilité de son procédé. La présomption déplace la charge de la preuve, sans la rendre irréfragable : « jusqu'à preuve contraire » laisse la porte ouverte.

Quand la loi exige un écrit pour la validité d'un contrat, l'article 1174 permet de l'établir et de le conserver sous forme électronique dans les conditions des articles 1366 et 1367. Les exceptions sont traitées plus bas.

Le règlement eIDAS range les signatures électroniques en trois niveaux, tous valables. L'article 25, paragraphe 1, interdit de refuser à une signature son effet juridique et sa recevabilité comme preuve au seul motif qu'elle est électronique ou qu'elle ne satisfait pas aux exigences de la signature qualifiée. Les niveaux décident de ce que vous devrez prouver, pas de votre droit de signer.

Une signature avancée remplit les quatre conditions de l'article 26 : elle est liée au signataire de manière univoque, elle permet de l'identifier, elle est créée avec des données que le signataire peut garder sous son contrôle exclusif, et elle est liée aux données signées de façon que toute modification ultérieure soit détectable.

La qualifiée y ajoute un dispositif qualifié de création de signature et un certificat qualifié. Elle seule équivaut à la signature manuscrite (art. 25, paragraphe 2), et chaque État membre reconnaît celle délivrée dans un autre (art. 24 bis, qui a remplacé en 2024 l'ancien art. 25, paragraphe 3). Pour savoir comment en obtenir une et si cela vaut le coût, voyez notre guide des signatures qualifiées.

En Belgique, le livre 8 du Code civil (loi du 13 avril 2019) définit la signature de façon à y inclure la voie électronique, et il exige une signature électronique qualifiée pour les actes authentiques dressés sous forme dématérialisée (art. 8.1 et 8.15). La Suisse n'est pas dans l'Union : eIDAS n'y joue pas. Selon l'art. 14, al. 2bis, du Code des obligations, seule la signature électronique qualifiée associée à un horodatage électronique qualifié est assimilée à la signature manuscrite.

Les deux expressions sont employées l'une pour l'autre en permanence. Elles ne désignent pas la même chose.

La signature électronique est la notion juridique : la volonté d'une personne d'être engagée, exprimée par voie électronique. La signature numérique est une technique pour y parvenir. Le logiciel du signataire utilise une clé privée, adossée à un certificat délivré par une autorité de certification, pour signer une empreinte du document. Quiconque détient la clé publique peut ensuite vérifier quel certificat a signé et si le fichier a changé.

Ce couple porte un nom chez les spécialistes de la sécurité, la non-répudiation : le signataire peut difficilement nier sa signature, puisque la preuve voyage dans le fichier et non dans la base d'un tiers. À strictement parler, elle prouve seulement que la clé a servi. Que la bonne personne la détenait reste une question de fait.

Toute signature numérique est une signature électronique. La plupart des signatures électroniques ne sont pas numériques, et pour les contrats courants le droit ne l'exige pas. La comparaison détaillée des deux notions traite le côté technique.

On peut signer électroniquement presque tous les documents commerciaux. Les exceptions sont courtes, précises et locales, ce qui explique qu'on trébuche dessus. En France, les voici :

• Les actes sous signature privée relatifs au droit de la famille et des successions. Ils échappent à la règle de l'article 1174, sauf les conventions contresignées par avocats et déposées au rang des minutes d'un notaire (art. 1175)
• Le testament olographe : écrit en entier, daté et signé de la main du testateur (art. 970)
• L'acte authentique reçu par un notaire. Il peut être dressé sur support électronique, mais dans les conditions fixées par décret et par le notaire lui-même, pas dans un service de signature ordinaire (art. 1369)
• La mention écrite de la main même de celui qui s'oblige : elle ne peut être apposée sous forme électronique que si les conditions garantissent qu'elle l'est par lui seul (art. 1174, alinéa 2)
• Les contrats solennels, dont la validité dépend d'une forme que la loi détermine, à peine de nullité (art. 1172)

Exclu ne veut pas toujours dire papier. Pour une mention manuscrite, un procédé sérieux peut suffire. Pour un testament olographe, aucun niveau de signature n'y change rien : il se rédige à la main, point.

Vérifiez le type d'acte avant l'envoi, pas après. Cela prend cinq minutes et épargne souvent un acte à refaire sur papier.

Une signature refusée est rarement une signature falsifiée. Presque toujours, ce que vous avez envoyé ne correspond pas à ce dont l'autre partie, ou la loi, avait besoin.

Mauvais niveau. Le destinataire attendait une signature qualifiée, souvent parce que la loi exige une forme particulière, et vous avez envoyé une simple. Renvoyer ne sert à rien : il faut un certificat délivré par un prestataire de services de confiance qualifié.

Aucun accord sur le procédé. Personne n'est tenu d'accepter votre procédé s'il n'a pas été convenu, et les banques, les assureurs et les administrations imposent souvent le leur.

Fichier modifié après la signature. Aplatir un PDF, y ajouter un commentaire ou le réenregistrer dans un autre éditeur peut casser l'empreinte.

Preuve impossible à produire. Sans copie que toutes les parties peuvent conserver et reproduire fidèlement, vous offrez un argument à l'autre camp.

Certificat expiré ou révoqué. Une signature faite quand le certificat était valide peut tenir encore. Il faudra pourtant établir plus tard à quel moment elle a été faite.

Un cas concret

Un fournisseur envoie un contrat-cadre signé. Le service juridique l'ouvre, ajoute un commentaire, enregistre et le transmet à la comptabilité. Celle-ci lance une vérification et obtient un échec. Brève panique.

Rien n'a été falsifié. Le commentaire a réécrit le fichier, son empreinte ne correspond plus à celle prise à la signature, et le contrôle a fait exactement son travail. L'original était intact, la copie non. Si vous ne savez plus quelle copie vous tenez, un contrôle de signature PDF vous dit si la signature correspond encore au fichier.

Pas grand-chose, honnêtement. Alors, c'est quoi une signature électronique, une fois le jargon juridique retiré ? Une étiquette pour une volonté que le droit accepte volontiers, et qu'un juge pèse selon la preuve qui l'entoure.

C'est aussi la mesure à appliquer à un outil de signature. Jugez-le sur la trace qu'il laisse, pas sur l'allure du paraphe :

• Un journal de preuve de la signature horodaté : qui a ouvert, signé ou refusé, avec l'e-mail et l'adresse IP de chaque étape
• Une empreinte du fichier, pour que toute modification ultérieure se voie
• Un export que vous gardez et ouvrez sans l'application du prestataire
• Un stockage qui dure aussi longtemps que la durée de conservation du document, pas aussi longtemps que votre abonnement

Voici ce que fait Chaindoc, puisque vous lisez ceci sur notre blog. Chaque fichier est haché à l'envoi. Quand vous publiez un document, l'empreinte de cette version est inscrite sur une blockchain publique, et la preuve de chaque signataire est enregistrée lorsque la signature se termine. Le journal de preuve et un rapport de vérification s'exportent en PDF, et les fichiers circulent en TLS. Une demande normale invite tout le monde à la fois ; un ordre de signature fixe passe par les circuits d'approbation du forfait Business.

Rien de tout cela ne change le droit. Cela change ce que vous pouvez montrer quand on vous le demande.